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Verfahren fur ein netzbasiertes Datenspeichersystem mit hoher Sicherheit 
Beschreibung 

5 Die Erfindung betrifft das Gebiet der Sicherheit fur den Zugriff und die Datenspeicherung 
auf Servern, die in Netzwerken mit freiem Zugang arbeiten. 

Angaben zum Stand der Technik 

Fiir die Sicherheit und Bereitstellung von Dateien uber z.B. das Internet gibt es eine Reihe 
10 von Anwendungen, deren spezifische Merkmale im folgenden dargestellt werden. 

Bei der Applikation Cryptoheaven (siehe http://www.crvtoheaven.conv) handelt es sich 
urn eine Java Applikation (Applet/Java Plugin). Die Anzeige erfolgt wie beim MS- 
Explorer, links geteilt in Verzeichnisbaum (incl. lokaler Rechner) und Kontaktliste. 

1 5 Einstellungen sind uber die rechte Maustaste/Popup moglich. Es wird ein proprietares 

Protokoll uber den Port 82 verwendet. Eingesetz wird Datenkompression. Dateien werden 
signiert und verschlttsselt. Ein Upload der Dateien ist auch mit Drag and Drop (DnD) aus 
dem lokalen Filesystem moglich. Die Ablaufsteuerung entspricht weitgehend der von 
MS-Explorer. Die Verschlusselung erfolgt lokai auf dem Clientrechner. Es konnen 

20 Verzeichnisse angelegt, geloscht und umbenannt werden. Die Freigabe von 

Verzeichnissen erfolgt an "eingeladene Nutzer". Die Einladung uber e-mail erfolgt durch 
Teilnehmer, die das System abboniert haben. Der Eingeladene muss zustimmen. Die 
Authentifizierung erfolgt mittels User-ID und Passwort. Das System gibt es fur die 
Betriebssysteme Windows/Unix und Linux. 

25 

Eine andere typische Anwendung gibt es bei bvPREMIERE, bvPRO, bvPLUS+ und big 
VAULT Enterprise (siehe http://www.bittvault.comy Die Anwendungen sind speziell fur 
Windows und ermoglichen die Einbindung (Anlegen) eines Laufwerks in den MS- 
Explorer, der Ober das WEB bedient wird. Das Obertragungsprotokoll fur Dateiupload 
30 und Dateidownload ist html uber eine SSl-Verbindung. Die Verschlusselung der Dateien 
erfolgt auf dem Server. Die Freigabe von Verzeichnissen und Dateien erfolgt mit einem 
Besucherpasswort. Es gibt einen Eingangskorb ftir autorisierte Nutzer. Ein Login ist als 
Nutzer oder Besucher moglich. Das Einrichten von Passwortem mit beschrankter 
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Giiltigkeitsdauer erfolgt in der Art, wie es beispielsweise bei UNIX seit vielen Jahren 
angewendet wird. 

Eine weitere Anwendung, die einen online Datei-Service fur Upload/Download bietet, ist 
5 GLOBEDESK (siehe http://www.globedesk.comy Fiir Upload/Download Uber den 
Browser wird html oder ftp verwendet. Die Verbindung wird uber SSL gesichert. Die 
Verschliisselung erfolgt auf dem Server. Die Namen der Abonnenten sind in einem 
Verzeichnis aufgelistet. Ein Klick auf einen Namen verbindet mit den bereitgestellteri 
Verzeichnissen. Die Identifizierung der Nutzer erfolgt iiber e-mail und Namen. 

10 

Die angegebenen Beispiele sind durch folgende Merkmale charakterisiert: 

- Die Sicherheit beruht auf einem Modell mit Nutzemamen und Passwort. Sobald sich 
ein Nutzer durch seinen Namen und das dazu gehorende Passwort authentifiziert hat, 
steht ihm das System in immer gleicher Weise zur Verfugung. 

15 

- Die Speicherung der Daten erfolgt in einem Dateisystem bzw. derart, das fiir den 
Nutzer die Funktionalitat eines Dateisystems exakt nachgebildet wird (z.B. Postfacher 
bei Webmail). 

20 Die bekannten Anwendungen haben hinsichtlich Sicherheit und Speichersystem folgende 
Nachteile: 

- Ein auf Nutzemamen und Passwort beruhendes Sicherheitsmodell kann fiir die 
Zugriffserlaubnis lediglich die ZustSnde erteilt oder entzogen umsetzen. Eine feinere 
Einstellung, zum Beispiel durch Zeitbegrenzung oder einzuhaltende Zeitabstande fur 

25 den ZugrifF sind nicht mc>glich, ebenso nicht eine Begrenzung der Anzahl gleichzeitig 
zugreifender Nutzer. 

- Das verwendete Speichemodell ist charakterisiert als Registratur der angelegten 
Ordner, in die die Dateien ohne Berucksichtigung ihrer Typen abgelegt und 

30 unverandert wieder entnommen werden. Eine frei gewahlte Zuordnung nach Inhalten 
kann vom System selbst nicht kontrolliert werden. Vollig unmftglich ist es, dass ein 
Ordner von sich aus aktiv wird und beispielsweise Sicherheitskopien von den 
gespeicherten Dateien anfertigt, die Dateien mit einem Zeitstempel versieht oder nach 
vorgegebenen Speicherfristen wieder lSscht 
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Die Erfindung stellt sich die Aufgabe, fur den Zugang und die Datenspeicherung bei 
Servern in Telekommunikationsnetzen ein Verfahren anzubieten, das die Nachteile der 
bekannten Anwendungen iiberwindet und eine wesentlich hohere Sicherheit 
5 gewahrleistet. 

Das Verfahren ist dadurch charakterisiert, das fur die Zugangsrechte Abhangigkeiten wie 
Aufenthaltsort, Zugangszeit, Endgeratemerkmale, Qualitat der Verbindungswege, 
Authentifizierungsmethode etc. beriicksichtigt werden konnen und fur die 
1 0 Datenspeicherung eine Sicherheitskonfiguration nachbildet werden kann, die dem 

SchlieBfachprinzip entspricht. Die Sicherheit wird des Weiteren dadurch erhoht, dass die 
Ver- und Entschlusselung der Dateien auf dem lokalen Rechner des Nutzers erfolgt und 
auf dem Server noch ein zweiter Verschlusselungsalgorithmus angewendet wird, den der 
Nutzer nicht beeinflussen kann. 

15 

Der Datentransfer hat das Ziel, Daten in Speichern von Servern abzulegen, urn sie zu 
gegebener Zeit wieder auf den lokalen Rechner zuruckzuholen, sie auf einen entfernten 
Rechner bearbeiten zu lassen, oder sie Dritten - oder dem Nutzer selbst - an einem 
anderen Ort ftir einen bestimmten Zeitraum bereitzustellen. Die Bedingungen, unter 
20 denen ein Zugriff moglich ist, mussen sich prSzise einstellen und verwalten lassen. Fur 
die Ablage der Dateien ist ein Ordnungssystem erforderlich, das eine uberschaubare 
Ubersichtlichkeit ftir das Auffinden der Dateien bieten sollte und die Datensicherheit 
optimal unterstutzt. 

25 Die Forderungen nach einer prazisen Zugriffskontrolle und einem Ordnungssystem fur 
die Ablage der Dateien mit hoher Sicherheit werden optimal erfullt durch das 
erfindungsgemafie Datenspeichersystem.. Das Datenspeichesystem umfasst den in einem 
Telekommunikationsnetz arbeitenden Server mit seinem speziellen Programm sowie die 
tiber das Netz einbezogenen lokalen Rechner. Das Programm auf dem Server verwendet 

30 als Speichermodell ein SchlieBfachsystem.. Das Schlieflfachsystem hat virtuellen 
Charakter, weil in Abhangigkeit von den Zugriffsrechten dem Nutzer nur die 
SchlieBfacher und Dateien angezeigt werden, fur die der Nutzer die Zugriffsberechtigung 
hat. Ftir den Nutzer gibt es kleine Information, wenn der Zugriff verweigert wird, sondern 
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die SchlieBfacher, UnterschlieBfacher und Dateien, fur die der Nutzer keine Berechtigung 
hat, werden dem Nutzer nicht angezeigt. 



Fur den Zugang zu dem Server und die Nutzung der Programme ist eine Erlaubnis 
5 notwendig, die von dem Betreiber des Servers erteilt wird. Ein Antrag dafxir ist etwa auf 
schriftliche Anforderung oder iiber das Internet erhaltlich. Der Antrag muss alle 
Informationen enthalten, die fttr die Ausstellung eines Nutzerzertifikats notwendig sind. 
Das Zertifikat enthalt unter anderem den offentlichen Schlussel des Nutzers. Zu diesem 
offentlichen Schlussel besitzt der Nutzer einen geheimen Schlussel. Vorzugsweise sind 
10 geheimer Schlussel und Zertifikat auf einer Chipkarte gespeichert, da so ein starker 

Schutz des geheimen Schlussels erreicht wird. Wird diese Moglichkeit gewahlt, erhalt der 
Nutzer, urn gegebenenfalls das System ohne Chipkarte nutzen zu konnen, ein zweites 
Schlusselpaar, bei dem der geheime Schlussel mit einem vom Nutzer gewahlten Pafiwort 
geschtttzt ist. 

15 

Zur Identifikation des Nutzers werden personliche Daten zusammen mit einer Kopie des 
Zertifikats in eine Datenbank eingetragen. Der Server greift auf diese Informationen zu, 
um Nutzer authentifizieren zu konnen, und urn ein fur alle Nutzer erreichbares 
Nutzerverzeichnis anzubieten. Insbesondere besitzt jeder Nutzer einen eindeutigen 
20 Systemnamen, der sich von seinem naturlichen Namen unterscheiden kann. 



Bei der Anmeldung richtet der Betreiber des Servers dem Nutzer einen personlicher 

Bereich des DS ein, der Hauptordner (1) des Nutzers genannt wird. 

Betriebssysteme und Datenbanken speichern Daten und ihre Vewaltungsinformationen 

25 auf unterschiedlichste Weise. Hier wird zur Beschreibung das bekannte Modell der 

Ordner (auch: Verzeichnisse) und Dateien vewendet. Eine Datei (enthalt die Daten) ist 
stets in einem Ordner enthalten, der entweder der sogenannte Wurzelordner ist oder selbst 
in einem Ordner enthalten ist. Von diesem Ordner ausgehend gelangt man so liber eine 
Kette von Oberordnern zu dem Wurzelordner. Die Namen der Ordner in dieser Kette 

30 werden zu dem sogenannten Pfad der Datei aneinandergehangt. Eine Datei wird eindeutig 
durch ihren Namen und ihren Pfad beschrieben. 

In dem hier beschriebenen Datenspeichersystem enthalt jeder Ordner eine spezielle Datei, 
die Sicherheitsinformationen und Verwaltungsinformationen fur den Server enthalt 
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(Tabelle 1). Unter einem SchlieBfach wird im Folgenden die Einheit von Ordner und der 
speziellen Datei verstanden. 

In dem HauptschlieBfach (Hauptordner) befinden sich von dem Betreiber eingerichtetete, 
nach Funktionen unterschiedene weitere SchlieBfacher, unter anderem persQnliche 
SchlieBfacher (2), BereitstellungsschlieBfacher (3), EmpfangsschlieBffccher (4), 
offentliche SchlieBfacher (5) fur den Nutzer, und ein SystemschlieBfach (6), zu dem nur 
der Server Zugang hat. Die Angabe der SchlieBfachart erfolgt in der zugehorigen 
speziellen Datei. 

Ein Verweis auf eine Datei enthalt mindestens den Namen derjenigen Datei, auf die sie 
verweist. 

In personlichen SchlieBfachern speichert der Nutzer nur Verweise auf seine Dateien, die 
ubertagenen Dateien selbst speichert der Server in dem Systemordner. In 
BereitstellungsschlieBfachern speichert der Nutzer Verweise auf seine Dateien fur andere 
Nutzer, in EmpfangsschlieBfachern befinden sich ihm von anderern Nutzern angebotene 
Verweise, und in offentlichen SchlieBfachern befinden sich Verweise auf Dateien, die 
alien Nutzern angeboten werden. In jedem SchlieBfach eines oben genannten Typs kann 
der Nutzer UnterschlieBf&cher einrichten, in denen er Verweise speichern kann, und die 
wieder andere UnterschlieBfacher enthalten konnen. 

Der Zugang zu dem Server erfolgt vom lokalen Rechner aus durch Anwahl der 
Internetadresse des Servers. Dadurch erhalt der Server die Internetadresse des lokalen 
Rechners. In der Regel identifiziert der Netzwerkbetreiber, der den Zugang des lokalen 
Rechners an das Internet vermittelt, die Zugangstelle (ISDN oder ADSL Verbindung, 
GSM, GPRS, WLAN, UMTS) eindeutig. Damit der Server diese Information erhalt, muss 
unter Umstanden ein Vertrag zwischen Netzwerkbetreiber und Betreiber des 
Datensicherungssystems bestehen, und der Netzwerkbetreiber muss die technischen 
Moglichkeiten bereitstellen. 

Der Server schickt ein spezielles Programm auf den lokalen Rechner, das sogenannte 
Clientprogramm. Es ist auch moglich, ein Clientprogramm auf dem lokalen Rechner zu 
installieren und aus ihm heraus die Anwahl durchzuftihren. Das Clientprogramm 
verbindet sich mit einigen auf dem lokalen Rechner vorhandenen Systemen, zum 
Beispiel einem Chipkartenleser, einem Fingerabdruckscanner, einem 
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Gesichtserkennungssystem, einem GPS Modul oder einem zur Bestimmung (oder 
naherungsweisen Bestimmung) des geographischen Orts eingerichtetn Systems. 
Mit Hilfe des CHentprogramms kann der Nutzer die ihm auf Serverseite zur Verfugung 
gestellten Funktionen nutzen und die zur Ausfuhrung der Programme notwendigen Daten 
5 eingeben, sofern er sich ihm gegenuber erfolgreich authentifizieren kann. Zur 

Authentifizierung bietet das Clientprogramm nach Art der vorhandenen Komponenten 
(Kartenleser, biometrisches System) dem Nutzer verschiedene Moglichkeiten 
(Name/PaBwort, PIN, Chipkarte, Chipkarte mit Biometrie) an. Die ausgewahlte Methode, 
Ergebnis der Authentifizierung, und die geographischen Daten (sofern vorhanden) 
10 werden an den Server weitergeleitet. Schlagt die Authentifizierung fehl, trennt der Server 
die Verbindung, und das Clientprogramm beendet sich. Bei Erfolg kann der Nutzer 
wahlen, ob er als normaler Nutzer (Standardzustand) oder als Administrator agieren 
mochte. Im zweiten Fall kann das Clientprogramm eine erneute, qualitativ hochwertige 
Authentifizierung wie etwa mit Chipkarte und Biometrie verlangen. 

15 

Der Zeitraum von Authentifizierung bis beenden des Clientprogramms wird Sitzung 
genannt Eine erfolgreiche Authentifizierung bewirkt insbesondere, dass mit der Sitzung 
der Systemname des Nutzers verbunden wird. Dadurch konnen viele parallel ablaufende 
Sitzungen separiert werden, und Server und Clientprogramm k6nnen die Rechte eines 
20 Nutzers zum Ausfuhren von Anwendungen kontrollieren. Die vom Clientprogramm 

ubermittelten Informationen wie Art der Authentifizierung (Name/PW, Chipkarte, ...) und 
geographischer Ort sowie die dem Server bekannte Anfangszeit, die aktuelle Zeit und die 
Adresse (Internetadresse oder Netzwerkbetreiberidentifikation) des lokalen Rechners 
geh6ren ebenfalls zu den Sitzungsdaten und werden von dem Server gespeichert. 

25 

Das Clientprogramm zeigt dem Nutzer den Inhalt seines HauptschlieBfachs und seines 
lokalen Dateisystems in der von dem Microsoft Explorer bekannten Form als 
Ordnerbaum an; auch die Handhabung lehnt sich an den Explorer an. Es werden jeweils 
nur die SchlieBfacher und Verweise angezeigt, fur die der Nutzer in der aktuellen Sitzung 
30 die Berechtigung besitzt. Die Berechtigung stellt der Server fest, indem er die in der 
speziellen Datei enthaltenen Daten mit den Sitzungsdaten vergleicht. 
Die SchlieBfacher werden durch ein eigenes graphisches Symbol dargestellt, um sie von 
gewohnlichen Ordnern zu unterscheiden. Besitzt der Nutzer Administratorrechte, erhalten 
die SchlieBfachsymbole eine besondere Farbe. 
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Die spezielle Datei eines SchlieBfachs ist nie sichtbar und kann auch nicht sichtbar 
gemacht werden. Ist der Nutzer Administrator, so zeigt ihm das Clientprogramm auf 
Anforderung den (vom Nutzer) anderbaren Inhalt der speziellen Datei an und ermoglicht 
5 ihm, Eintrage zu andern. 

Das SystemschlieBfach ist nie sichtbar. Diese Eigenschaft kann auch nicht geandert 
werden, da der Nutzer keinen direkten oder indirekten Zugang zu der speziellen Datei des 
SystemschlieBfachs hat. 

1 0 Das Ablegen einer auf dem lokalen Rechner befindlichen Datei in dem persflnlichen 
SchlieBfach des Nutzers ist ein mehrstufiger Vorgang, der von ihm mit Hilfe eines 
Programms durchgefuhrt wird, das eine Komponente in dem Clientprogramm und eine 
Komponente auf dem Server besitzt. Die Benutzeroberflache des Clientprogramms 
ermOglicht dem Nutzer, die abzulegende Datei durch Pfad und Namen auszuwahlen und 

15 den Zielpfad in seinem personlichen SchlieBfach anzugeben. Der Server informiert das 
Clientprogramm iiber Anforderungen, die das ZielschlieBfach an abzulegende Dateien 
stellt Dazu gehoren maximale GroBe, bestimmtes Format (doc, pdf) oder Vorliegen einer 
Signatur der Daten. Sind die Anforderungen erflillt, ladt das Clientprogramm die in der 
Datei enthaltenen Daten und erzeugt eine Zufallszahl, den so genannten Zugangsschliissel 

20 (8), mit dem die Daten mit einem symmetrischen Verschliisselungsverfahren 

verschlusselt werden. AnschlieBend wird dieser Zugangsschliissel mit dem Offentlichen 
Nutzerschlussel zu dem verschlusselten Zugangsschlussel (9) verschlusselt und der 
Zugangsschlussel wird vernichtet. Dadurch wird erreicht, dass nur der Nutzer, der mit 
Hilfe seines geheimen Schlussels den Zugangsschlussel zurtickgewinnen kann, den 

25 verschlusselten Inhalt der Datei wieder entschlusseln kann. 

Dateiname, Dateityp, DateigroBe, verschliisselte Daten und verschlusselter 
Zugangsschlussel werden zusmmen mit weiteren, nach Tabelle 2 benotigten daten, an den 
serverseitigen Programmteil geschickt. 

Dieser verschlusselt die Daten ein zweites Mai mit einem eigenen symmetrischen 
30 SchlOssel, so dass selbst ein Diebstahl der Daten, des verschlusselten Zugangsschliissels 
und des geheimen Nutzerschlussels keinen Zugang zu den Daten ermoglicht. Dann 
erzeugt er einen systemweit eindeutigen Dateiidentifikator, der als interner Name der 
verschlusselten Daten verwendet wird. Unter diesem Namen werden die verschlusselten 
Daten im SystemschlieBfach abgelegt. Im Zielordner wird dann ein Verweis mit dem 
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Namen der Datei als Dateinamen erzeugt, der den Dateiidentifikator, den verschliisselten 
Zugangsschliissel und Informationen uber die Datei (GroBe, Typ) enthalt. 

Will der Nutzer als Eigentumer einer Datei diese einem anderen Nutzer anbieten, richtet 
5 er als Administrator in einem BereitstellungsschlieBfach ein NutzerschlieBfach (7) fiir ihn 
ein. Der Server stellt ihm daftir uber das Clientprogramm in der Art eines Telefonbuchs 
ein Nutzerverzeichnis zur Verfugung, aus dem er den gewttnschten Nutzer als Adressat 
auswahlt. Er kann auch einer Gruppe von Nutzern ein personliches SchlieBfach 
einrichten. Der Server tragt diesen oder diese Nutzer als Miteigentumer des SchlieBfachs 

1 0 in die Eigenschaftendatei ein. 

Mit Hilfe der Benutzeroberflache des Clientprogramms teilt der Eigentumer dem Server 
die anzubietende Datei und ihr Ziel (ein vom Eigentumer eingerichtetes UnterschlieBfach) 
innerhalb des NutzerschlieBfachs mit. Das Clientprogramm schickt diese Informationen 
an den Server. Der Server priift, ob die Eigenschaften des ZielschlieBfachs die 

15 gewunschte Operation erlauben, und schickt dann eine Kopie des Verweises auf die Datei 
zusammen mit dem offentlichen Schlussel des Adressaten em das Clientprogramm zuriick. 
Dieser entnimmt aus dem Verweis den verschliisselten Zugangsschliissel, fordert den 
Nutzer auf, mit seinem geheimen Schlussel den Zugangsschliissel wieder herzustellen und 
verschliisselt ihn dann mit dem offentlichen Schlussel des Adressaten zu einem neuen 

20 verschliisselten Zugangsschliissel. Der Zugangsschliissel wird vernichtet, der neue 

verschliisselten Zugangsschliissel in den Verweis eingetragen, und der Verweis an den 
Server zuriickgeschickt, der ihn in dem ZielschlieBfach ablegt. Dann wird in einem 
EmpfangsschlieBfach des Adressaten ein SchlieBfach mit dem Namen des Eigentiimers 
erzeugt. 

25 Dadurch hat nun der Adressat einen Verweis auf die Datei zusammen mit einem 
personlichen Zugangsschliissel verschliisselten Zugangsschliissel. 

Offhet der Nutzer ein EmpfangsschlieBfach, sieht er SchlieBfacher, die mit den Namen von 
Anbietern bezeichnet sind. Offhet er ein solches SchlieBfach X (durch Klick auf das Icon 
30 in der Anzeige seines Clientprogramms) eines Anbieters, so durchsucht der Server die 

BereitstellungsschlieBfacher des Anbieters nach NutzerschlieBf&chern, die von ihm fur den 
Nutzer eingerichtet wurden, und wahlt darunter die NutzerschlieBfacher aus, die unter den 
aktuellen Sitzungsdaten dem Nutzer den Zugang gestatten. Diese Namen sendet der Server 
an das Clientprogramm, das sie als UnterschlieBfacher von X anzeigt. Die 
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NutzerschlieBfacher sind also nicht wirklich in X enthalten, der Nutzer kann das aber nicht 
feststellen. 

Die angebotenen Verweise (der Nutzer sieht angebotene Dateien) werden vom Server nur 
dann an das Clientprogramm gemeldet, wenn kein Sitzungsdatum die in dem Verweis 
5 verzeichneten Bedingungen verletzt. 

Aus der Beschreibung wird deutlich, dass ein Nutzer einen Verweis hochstens dann in 
seinem Clientprogramm sieht, wenn der Verweis einen mit dem offentlichen Schlilssel des 
Nutzers verschliisselten verschlusselten Zugangsschlussel enthalt. Der Nutzer kann mit 
1 0 seinem geheimen Schliissel und dem verschlusselten Zugangsschlussel den 

Zugangsschlussel der Datei wiederherstellen und die verschlusselten Daten entschliisseln. 
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Tabelle 1: spezielle Ordnerdatei 



Definition: 


Vom System angelegte Datei; 
Reprasentant einer Datei im 
SystemschlieBfach 




Datenfelder: 


Identifikator der verwiesenen Datei; 

Verschlusselter 

VerschlOsselungsschlttssel; 

Typ der Datei; 

GroBe der Datei; 

Zeit der Dateierzeugung; 

Zeit der Anlage des Verweises; 

Zeit des letzten Zugriffs. 




Sicherheitsinformationen: 


Eigentumer; 

Restriktion Authentifizierung 











15 Tabelle 2: Verweis 
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Verfahren fur ein netzbasiertes Datenspeichersystem mit hoher Sicherheit 

Patentanspruch 

1 . Verfahren fur ein netzbasiertes Datenspeichersystem mit hoher Sicherheit, bei dem die 
Speicherung der Daten auf einem Server in einem Telekommunikationsnetz erfolgt 
und die lokalen Rechner der Nutzer uber das Telekommunikationsnetz mit dem Server 
verbunden sind, dadurch gekennzeichnet. 

- dass der Betreiber des Servers dem Nutzer auf Antrag ein Nutzerzertifikat fur die 
Zugangsbedingungen ausstellt, das in Verbindung mit einem offentlichen und 
einem geheimen Schlussel dem Nutzer vorzugsweise auf einer Chipkarte 
bereitgestellt wird, 

- dass der uber das Internet angewahlte Server ein Clientprogramm zum lokalen 
Rechner des Nutzers sendet, das fur den Nutzer die Authentifizierung mit der 
Chipkarte sowie die Ubertragung weiterer Sicherheitsanforderungen wie 
biometrische Systeme, geografische Positionsbestimmung, mit und ohne 
Zeitabhangigkeiten, sowie separate Zeiteinschrankungen, Netz- und Rechnerdaten 
u.a. moglicht macht, 

- dass auf dem Server fur angemeldete Nutzer ein personlicher Hauptordner 
eingerichtet wird, der eine spezielle Datei mit den fur diesen Hauptordner 
festgelegten Sicherheitsanforderungen und Verwaltungsangaben erhalt und durch 
diese spezielle Datei den Status eines SchlieBfaches erhalt, 

- dass in den Hauptordnern weitere Ordner eingerichtet werden konnen, die nach 
Funktionen unterschieden werden und durch die spezielle Datei mit den fur sie 
jeweils festgelegten Sicherheitsanforderungen als funktionale Schliefifacher 
fungieren, 

- dass die in den Hauptordnern eingerichteten Schliefifacher mindestens die 
Funktionen personliche Schliefifiicher, in die ausschliefilich der Nutzer des 
Hautschliefifaches seine Dateien speichern kann und die auch nur diesem Nutzer 
angezeigt werden, Bereitstellungsschliefifacher, in die der Nutzer die Verweise fur 
Dateien in nach Namen unterschiedenen Nutzerschliefifachern ftir andere Anwender 
ablegt, Empfangsschliefifacher, in denen dem Nutzer die mit Namen 
gekennzeichneten Schliefifacher der Absender von Dateien angezeigt werden und 
beim Offnen derartiger Schliefifacher ftlr den Nutzer ein Verweis zur Ablage der 
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Dateien und zu den festgelegten Sicherheitsanforderungen sichtbar werden, und 
offentliche Schliefifacher, in denen vom Nutzer die Verweise auf Dateien 
gespeichert werden, die bei der Ablage im BereitstellungsschlieBfach fiir mehrere 
Empfanger vorgesehen sind, und 
5 - dass die Anzeige der Schliefifacher nur erfolgt, wenn die sicherheitsrelevanten 

Vorgaben des Betreibers, Nutzers bzw, Anbieter erfullt werden, so dass. das 
Schlieflfachsystem virtuellen Charakter besitzt. 
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